Google Chrome 32.0.1700.95 Speech Recognition अधिकार वृद्धि
| CVSS मेटा अस्थायी स्कोर | वर्तमान एक्सप्लॉइट मूल्य (≈) | CTI रुचि स्कोर |
|---|---|---|
| 4.3 | $0-$5k | 0.00 |
सारांश
एक सुरक्षा कमजोरी, जिसे समस्याग्रस्त के रूप में वर्गीकृत किया गया है, Google Chrome 32.0.1700.95 में पाई गई है। प्रभावित होता है कोई अज्ञात फ़ंक्शन घटक Speech Recognition का। इसमें शामिल है, जिससे अधिकार वृद्धि उत्पन्न होती है। अतिरिक्त रूप से, एक एक्सप्लॉइट मौजूद है.
विवरण
एक सुरक्षा कमजोरी, जिसे समस्याग्रस्त के रूप में वर्गीकृत किया गया है, Google Chrome 32.0.1700.95 में पाई गई है। प्रभावित होता है कोई अज्ञात फ़ंक्शन घटक Speech Recognition का। इसमें शामिल है, जिससे अधिकार वृद्धि उत्पन्न होती है। CWE के माध्यम से समस्या घोषित करने पर CWE-269 मिलता है। इस कमजोरी को प्रकाशित किया गया था 22/01/2014 द्वारा Tal Ater के रूप में Chrome Bugs Allow Sites to Listen to Your Private Conversations के रूप में Posting (वेबसाइट). एडवाइजरी को talater.com पर डाउनलोड के लिए उपलब्ध कराया गया है। इस प्रकटीकरण में निम्नलिखित शामिल है:
I discovered this exploit while working on annyang, a popular JavaScript Speech Recognition library.
कोई टेक्निकल डिटेल्स उपलब्ध नहीं हैं. यह भेद्यता सामान्य से कम लोकप्रिय है। अतिरिक्त रूप से, एक एक्सप्लॉइट मौजूद है. इस समय एक एक्सप्लॉइट की मौजूदा कीमत might be approx. USD $0-$5k है। अगर T1068 मौजूद है, तो MITRE ATT&CK प्रोजेक्ट इस अटैक तकनीक को T1068 के रूप में घोषित करता है। एडवाइजरी इंगित करती है:
A user visits a site, that uses speech recognition to offer some cool new functionality. The site asks the user for permission to use his mic, the user accepts, and can now control the site with his voice. Chrome shows a clear indication in the browser that speech recognition is on, and once the user turns it off, or leaves that site, Chrome stops listening. So far, so good. But what if that site is run by someone with malicious intentions? Most sites using Speech Recognition, choose to use secure HTTPS connections. This doesn’t mean the site is safe, just that the owner bought a $5 security certificate. When you grant an HTTPS site permission to use your mic, Chrome will remember your choice, and allow the site to start listening in the future, without asking for permission again. This is perfectly fine, as long as Chrome gives you clear indication that you are being listened to, and that the site can’t start listening to you in background windows that are hidden to you. When you click the button to start or stop the speech recognition on the site, what you won’t notice is that the site may have also opened another hidden popunder window. This window can wait until the main site is closed, and then start listening in without asking for permission. This can be done in a window that you never saw, never interacted with, and probably didn’t even know was there. To make matters worse, even if you do notice that window (which can be disguised as a common banner), Chrome does not show any visual indication that Speech Recognition is turned on in such windows - only in regular Chrome tabs.
यह अवधारणा प्रमाण के रूप में घोषित है। 0-डे के रूप में अनुमानित अंडरग्राउंड कीमत लगभग $100k और अधिक थी.
आप chrome.google.com से अपडेटेड वर्शन डाउनलोड कर सकते हैं।
उत्पाद
प्रकार
विक्रेता
नाम
संस्करण
लाइसेंस
वेबसाइट
- विक्रेता: https://www.google.com/
- उत्पाद: https://www.google.com/chrome/
CPE 2.3
CPE 2.2
वीडियो
CVSSv4
VulDB वेक्टर: 🔍VulDB विश्वसनीयता: 🔍
CVSSv3
VulDB मेटा बेस स्कोर: 4.8VulDB मेटा अस्थायी स्कोर: 4.3
VulDB मूल स्कोर: 4.8
VulDB अस्थायी स्कोर: 4.3
VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| सदिश | जटिलता | प्रमाणीकरण | गोपनीयता | अखंडता | उपलब्धता |
|---|---|---|---|---|---|
| अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
| अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
| अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
VulDB मूल स्कोर: 🔍
VulDB अस्थायी स्कोर: 🔍
VulDB विश्वसनीयता: 🔍
शोषण
वर्ग: अधिकार वृद्धिCWE: CWE-269 / CWE-266
CAPEC: 🔍
ATT&CK: 🔍
भौतिक: नहीं
स्थानीय: नहीं
दूरस्थ: हाँ
उपलब्धता: 🔍
प्रवेश: निजी
स्थिति: अवधारणा प्रमाण
मूल्य पूर्वानुमान: 🔍
वर्तमान मूल्य अनुमान: 🔍
| 0-Day | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
|---|---|---|---|---|
| आज | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
खतरे की खुफिया
रुचि: 🔍सक्रिय अभिनेता: 🔍
सक्रिय APT समूह: 🔍
प्रतिव्यवस्था
सिफारिश: कोई शमन ज्ञात नहींस्थिति: 🔍
0-दिवसीय समय: 🔍
अपग्रेड: chrome.google.com
समयरेखा
22/01/2014 🔍24/01/2014 🔍
30/03/2019 🔍
स्रोत
विक्रेता: google.comउत्पाद: google.com
सलाह: Chrome Bugs Allow Sites to Listen to Your Private Conversations
शोधकर्ता: Tal Ater
स्थिति: परिभाषित नहीं
GCVE (VulDB): GCVE-100-12057
OSVDB: 102386
scip Labs: https://www.scip.ch/en/?labs.20161013
प्रविष्टि
बनाया गया: 24/01/2014 10:59 AMअद्यतनित: 30/03/2019 05:30 PM
परिवर्तन: 24/01/2014 10:59 AM (47), 30/03/2019 05:30 PM (2)
पूर्ण: 🔍
Cache ID: 216::103
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.
अभी तक कोई टिप्पणी नहीं भाषाएँ: hi + ne + en.
टिप्पणी करने के लिए कृपया लॉगिन करें